摘 要：基于公鑰體系結(jié)構(gòu)（PKI）原理,，設(shè)計了結(jié)合CA安全證書的Web Mail安全系統(tǒng)，并將PKI技術(shù)融入到系統(tǒng)各組成部分,。一方面,，利用智能卡安全身份認證技術(shù)，提供了一種安全便捷的身份認證模式,；另一方面，應(yīng)用了動態(tài)頁面關(guān)鍵信息提取技術(shù),，使得用戶數(shù)據(jù)在客戶端完成加解密操作,，解決了公務(wù)郵件傳輸中的安全性和完整性問題。經(jīng)過實驗環(huán)境的原型驗證,，系統(tǒng)運轉(zhuǎn)良好,。
　　關(guān)鍵詞：電子郵件；PKI,；安全身份認證,；關(guān)鍵信息加密

 　　電子郵件作為互聯(lián)網(wǎng)應(yīng)用最廣泛的信息交流工具，已深入普及到人們的日常生活和工作當中,。于是電子郵件的安全性日益成為互聯(lián)網(wǎng)行業(yè)和整個社會關(guān)注的問題,，如何實現(xiàn)安全且易用的電子郵件系統(tǒng)，成為安全電子郵件應(yīng)用的明確需求,。
　　傳統(tǒng)電子郵件技術(shù)是一種安全性較差的信息傳輸技術(shù),。目前，因特網(wǎng)用戶所使用的絕大多數(shù)電子郵件系統(tǒng)中,，基本沒有采取任何措施來保證電子郵件在網(wǎng)絡(luò)中安全傳送,。電子郵件的內(nèi)容以明文的形式在網(wǎng)絡(luò)中傳遞，使其面臨著被截獲,、篡改,、破壞的危險。
　　我國安全電子郵件應(yīng)用的自主研究也在迅猛發(fā)展,。服務(wù)提供商,、產(chǎn)品廠商通過自己的努力,，對安全電子郵件系統(tǒng)做出探索性的研制和推廣，并配合相關(guān)法規(guī)和制度不斷反饋和修訂,，但都尚未形成公開的或權(quán)威的標準,。為了解決應(yīng)用層郵件的安全問題，需要設(shè)計易用的企業(yè)級安全郵件系統(tǒng),，具有集中管理用戶證書并進行后臺自動數(shù)據(jù)安全處理的機制,，同時做到靈活和易集成。
　　經(jīng)過廣泛的市場調(diào)研,，基于非對稱密鑰加密理論,，在傳統(tǒng)電子郵件系統(tǒng)中引入公共密鑰體系（PKI），通過CA安全認證,、數(shù)字簽名和信息加密技術(shù)（對稱加密和非對稱加密）可以為電子郵件用戶提供以下安全服務(wù)：郵件發(fā)送方身份認證,、郵件內(nèi)容保密、郵件內(nèi)容完整,、郵件內(nèi)容不可否認,，從而實現(xiàn)安全易用的電子郵件系統(tǒng)[1]。
1 安全Web Mail系統(tǒng)總體設(shè)計
　　安全Web Mail系統(tǒng)總體分為4層,，由基礎(chǔ)層,、平臺層、應(yīng)用層和客戶層組成,，提供統(tǒng)一的整體服務(wù),，如圖1所示。底層是基礎(chǔ)層,，提供整體系統(tǒng)的后臺基礎(chǔ)服務(wù),，包括標準電子郵件服務(wù)系統(tǒng)及其管理用戶信息的附屬目錄服務(wù)系統(tǒng)、CA證書服務(wù)系統(tǒng),。平臺層位于基礎(chǔ)層之上,，包括Web服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器,，符合Internet3層應(yīng)用部署架構(gòu),，為上層應(yīng)用提供運行環(huán)境和數(shù)據(jù)存儲空間，為客戶端提供訪問接入響應(yīng),。應(yīng)用層位于平臺層之上,，包含安全身份認證系統(tǒng)、網(wǎng)上證書受理系統(tǒng),、Web Mail系統(tǒng)以及企業(yè)用戶地址樹,、系統(tǒng)后臺管理、單點登錄接口等應(yīng)用服務(wù),，實現(xiàn)證書受理,、身份認證,、信息加解密、用戶管理和系統(tǒng)接口等各項安全Web Mail郵件功能,。最上層是客戶層,，包括客戶端瀏覽器及插件、用于安全認證的USB接口智能密鑰棒,。

2 安全身份認證技術(shù)
2.1  身份認證安全設(shè)計
　　安全Web Mail郵件系統(tǒng)認證包括4個部分,，即私鑰簽名、證書驗證,、證書檢測,、身份確認，主要完成對擁有證書的用戶進行身份認證的功能,。
　　每個用戶擁有唯一一個密鑰棒,，其中存儲代表用戶身份的數(shù)字證書和私鑰，用戶登錄系統(tǒng)時,，在客戶端USB口插入智能密鑰棒,，與遠程身份認證服務(wù)器通訊，由認證服務(wù)器驗證用戶的數(shù)字簽名完成對用戶身份的認證,，并得到用戶的身份以及系統(tǒng)的授權(quán)信息[2-3],。采用智能密鑰棒進行身份認證，很好地結(jié)合了PKI體系和智能卡設(shè)備,，使PKI體系具有了“移動”特征[4]。
　　設(shè)計中采用RSA＋SHA1作為安全Web Mail系統(tǒng)中身份認證的簽名算法,，采用RSA作為數(shù)字信封的非對稱加密算法,，采用國密標準的SDBI作為HASH算法[5]。
2.2  智能卡協(xié)調(diào)管理器
　　智能卡作為數(shù)字證書存儲介質(zhì),，遵循國際標準協(xié)議(PKCS11),。為了屏蔽各類智能卡的差異，簡化應(yīng)用系統(tǒng)的開發(fā)并增強系統(tǒng)的通用性,，在原有各類智能卡接口函數(shù)的基礎(chǔ)上,，推出CA系統(tǒng)智能卡協(xié)調(diào)管理器，統(tǒng)一了各個類型智能卡的接口,。
　　智能卡協(xié)調(diào)管理器主要分為3部分：上層應(yīng)用調(diào)用的組件,、Windows智能卡資源管理接口和智能卡驅(qū)動程序。智能卡協(xié)調(diào)管理器就是中間調(diào)節(jié)作用的抽象層,。智能卡協(xié)調(diào)管理器模型將智能卡廠商提供的應(yīng)用接口與智能卡應(yīng)用程序使用的接口隔離開,。智能卡廠商提供的驅(qū)動程序發(fā)生變化或更新，對上層的智能卡應(yīng)用程序沒有影響,。
3  動態(tài)頁面關(guān)鍵信息提取技術(shù)
3.1  HTTP數(shù)據(jù)的獲取技術(shù)
　　IE就是一個包含許多其他COM組件的較大COM組件,，可以訪問已經(jīng)運行的IE實例,，并從應(yīng)用程序中獲得對IE的控制。
　　對一個與其客戶通信的COM對象來說,，該對象必須支持一個或多個發(fā)出接口,，支持發(fā)出接口的COM對象稱作可連接對象。要想有資格成為可連接對象,，就必須實現(xiàn)Iconnection Point Container接口,。發(fā)出接口實際上由客戶端來執(zhí)行，并通過連接點插入COM對象,。每次啟動新實例時,，IE都會加載瀏覽器幫助者對象（BHO）所指定的一個動態(tài)鏈接庫（DLL），而此DLL能有效地與IE進行連接,，獲知IE正在激發(fā)的事件,。對于BHO下的每個CLSID，IE在與瀏覽器相同的進程空間調(diào)用CoCreateInstance,，啟動BHO實例,。如果BHO注冊了它的CLSID并執(zhí)行了IobjectWithSit接口，那么IE就啟動BHO并傳遞指向IE的IwebBrowser接口指針,，通過該接口指針,，就能控制和接收來自IE的事件。
3.2  Web頁面關(guān)鍵信息提取技術(shù)
　　關(guān)鍵信息標記語言是對HTML的擴充,。HTML腳本語言可以分為表現(xiàn)式語言和內(nèi)容式語言,。表現(xiàn)式語言主要完成顯示功能，如表格的標記